.NET Core MVC结合Azure B2C：如何提取OpenIdConnect响应的state参数

在.NET Core MVC集成Azure B2C时，你遇到的这个问题其实是因为ASP.NET Core的OpenID Connect中间件默认会对state参数进行加密（用来防范CSRF攻击），所以直接从TicketReceivedContext.Form里拿到的是加密后的字符串。正确的做法是借助中间件的Properties机制来存储和读取自定义的State数据，不需要自己处理加密解密。

下面是具体的实现步骤：

1. 利用AuthenticationProperties存储自定义State #

在跳转至Azure B2C之前，把你需要传递的数据存入RedirectContext.Properties中，中间件会自动把这些数据序列化并加密到state参数里，登录回调后又会自动解密并填充回TicketReceivedContext.Properties。

示例代码（配置OpenID Connect事件） #

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    // 你的Azure B2C基础配置（略）
    options.Authority = "https://yourtenant.b2clogin.com/yourtenant.onmicrosoft.com/B2C_1_signupsignin";
    options.ClientId = "your-client-id";
    options.ResponseType = "code";
    // ...其他配置

    options.Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProvider = context =>
        {
            // 从初始请求的查询字符串获取要传递的值
            var initialRequestValue = context.HttpContext.Request.Query["your-param-name"];
            
            // 将自定义值存入Properties
            context.Properties.Items["CustomStateData"] = initialRequestValue;
            
            // 如果需要传递多个值，可以序列化一个自定义对象
            // var customState = new { Value1 = "foo", Value2 = "bar" };
            // context.Properties.Items["CustomStateObject"] = JsonSerializer.Serialize(customState);
            
            return Task.CompletedTask;
        },
        OnTicketReceived = context =>
        {
            // 从Properties中读取未加密的自定义State值
            if (context.Properties.Items.TryGetValue("CustomStateData", out var customValue))
            {
                // 在这里使用这个值，比如修改跳转地址
                context.ReturnUri = $"/Home/Welcome?param={customValue}";
            }
            
            // 如果是序列化的对象，反序列化即可
            // if (context.Properties.Items.TryGetValue("CustomStateObject", out var stateJson))
            // {
            //     var customState = JsonSerializer.Deserialize<YourCustomClass>(stateJson);
            //     // 使用customState中的数据
            // }
            
            return Task.CompletedTask;
        }
    };
});

2. 为什么不要直接读取Form中的加密State？ #

OpenID Connect中间件的state参数不仅包含你自定义的数据，还内置了CSRF防护的随机值等框架内部信息，框架会自动处理加密、解密和验证逻辑。直接读取加密后的state并手动解密既不安全，也容易破坏中间件的正常工作流程。

3. 进阶：自定义StateDataFormat（可选） #

如果你需要更复杂的State数据结构，可以自定义StateDataFormat来序列化你的对象，而不是用简单的字符串存储：

// 先定义一个自定义类
public class CustomState
{
    public string InitialRequestParam { get; set; }
    public DateTime RedirectTime { get; set; }
}

// 在配置OpenID Connect时设置StateDataFormat
options.StateDataFormat = new JsonDataFormat(
    new DataProtectorShim(dataProtectionProvider.CreateProtector(
        "Microsoft.AspNetCore.Authentication.OpenIdConnect.OpenIdConnectHandler",
        OpenIdConnectDefaults.AuthenticationScheme,
        "v1")),
    typeof(CustomState));

// 然后在事件中使用
OnRedirectToIdentityProvider = context =>
{
    var customState = new CustomState
    {
        InitialRequestParam = context.HttpContext.Request.Query["your-param-name"],
        RedirectTime = DateTime.UtcNow
    };
    context.Properties.Items["CustomState"] = JsonSerializer.Serialize(customState);
    return Task.CompletedTask;
}

这样就能安全、便捷地在登录流程中传递自定义数据啦。

内容的提问来源于stack exchange，提问作者nat